LONDON (IT BOLTWISE) – Angreifer nutzen in Microsoft Entra gespoofte OAuth-Client-IDs, um Benutzerkonten zu enumerieren und Passwortvalidierung zu erschließen, ohne typische Anmelde-Erfolgsmuster auszulösen. Dadurch werden Entra-Log-Überwachungen und bedingte Zugriffsregeln für einzelne Anwendungen umgangen. Eine Kampagne erreichte laut Berichten mehr als zwei Millionen Nutzer über Millionen von gefälschten IDs. Für Security-Teams heißt das: Logik rund um „blank application IDs“ und Fehlercode-Signale muss stärker automatisiert und mit Incident-Prozessen verknüpft werden.
Security-Teams müssen ihre Aufmerksamkeitsmuster für Identitätsangriffe neu justieren: In einer aktuellen Angriffstechnik werden OAuth-Client-IDs gefälscht, um in Microsoft Entra Informationen über User-Verzeichnisse abzugreifen. Der Knackpunkt liegt darin, dass das Vorgehen nicht zwingend einen „erfolgreichen Sign-in“-Event produziert. Stattdessen können die Logs Hinweise liefern, die eher wie Reconnaissance wirken: Ein Teil der Entra-Protokollierung verzeichnet dabei eine auffällige Leerstelle im Anwendungsfeld. Genau diese Unschärfe macht die Methode für klassische Alarmierung schwierig, die vor allem Trends gegen konkrete Entra-verbundene Anwendungen im Blick hat.
Technisch betrachtet entscheidet die OAuth-Client-ID darüber, welche Anwendung Microsoft Entra als Zugriffspartner einordnet. Wenn Angreifer eine nicht existierende oder falsch zugeordnete Client-ID „spoofen“, kann das System die Anfrage in einer Weise behandeln, die die Validierung von Nutzern und Passwörtern indirekt sichtbar macht, ohne dass eine legitime Anwendung im Spiel ist. In der Folge lassen sich Username-/Account-Listen und Passwortvalidität ableiten, indem Antworten und Log-Verhalten interpretiert werden. Für Defenders wird das relevant, weil die beobachteten Logeinträge in der Anwendungsspalte „blank“ erscheinen und damit nicht sauber mit dem erwarteten Applikationskontext korrelieren.
Damit wird auch eine zweite Verteidigungslinie weich: Conditional-Access-Policies, die gezielt auf eine bestimmte Anwendung zugeschnitten sind, greifen laut der beschriebenen Beobachtung nicht zuverlässig, wenn die Anfrage mit einer gespooften Client-ID kommt. Angreifer können sich also so verhalten, dass sie in der Entra-Policy-Welt „nicht der richtigen Scope“ entsprechen. Vergleichbar ist das Prinzip in anderen Identity-Umgebungen, etwa bei Okta-Workflows oder Google-Identity-Lösungen: Wenn Richtlinien an eine vertrauenswürdige App-Identität gebunden sind, entstehen Umgehungslücken, sobald Request-Metadaten nicht die erwartete Identitätskette durchlaufen. Entscheidend ist daher, dass Teams nicht nur App-spezifische Regeln monitoren, sondern auch „unbekannte“ oder fehlerhafte Anwendungsidentitäten konsequent auswerten.
Für den Markt bedeutet das: In Cloud-Umgebungen ist Identity der neue Perimeter, und Reconnaissance über Logikfehler oder Metadaten ist oft günstiger als klassische Credential-Stuffing-Angriffe. Laut den zugrunde liegenden Berichten wurden zwei Kampagnen über Zeiträume hinweg beobachtet: eine mit Start im Januar und eine größere mit Start im Dezember, die später eine zweite Welle im Februar erhielt. Dabei kamen laut Beschreibung mehr als 700.000 gespoofte IDs zum Einsatz, um über eine Million Nutzerkonten in nahezu 4.000 Organisationen zu adressieren; die größere Kampagne nutzte 3,7 Millionen gespoofte IDs, um über zwei Millionen Nutzer zu targetieren. Solche Größenordnungen passen zu einem Trend, bei dem Bedrohungsakteure ihre Infrastruktur modularisieren und „Tradecraft“ skalieren.
Security-Teams sollten die Detektion daher konkret auf Logsignale ausrichten, die nicht vom App-Identitätsmatching abhängen. Genannt wird unter anderem der Fehlercode AADSTS700016, der mit unrecognized application IDs in Verbindung gebracht wird. Zusätzlich lohnt sich die Überprüfung von sign-in/attempts, bei denen im Entra-Logging das Anwendungsfeld leer bleibt. Solche Muster können zwar auch legitime Ursachen haben (z. B. fehlerhafte Integrationen), aber bei gleichzeitigen Hinweisen auf Enumeration steigen die Prioritäten für Incident-Response. Praktisch heißt das: Automatisiere Korrelation aus Fehlercode, ungewöhnlichen Antwortmustern und Verzeichniszugriffen, statt ausschließlich Surges gegen bestimmte Entra-App-Namen zu alarmieren.
Aus historischer Perspektive ist Identity-Abuse kein neues Thema, aber der Fokus verschiebt sich: Früher standen bei OAuth/SSO vor allem fehlerhafte Redirect-URIs, Token-Leakage oder mangelhafte Secrets im Mittelpunkt. Mit zunehmender Verbreitung von „App Registrations“, granularen Consent-Mechanismen und Conditional Access wächst jedoch die Angriffsfläche rund um die Anwendungsidentität selbst. Die hier beschriebene Technik ist deshalb besonders relevant, weil sie Reconnaissance ohne klassisches „erfolgreiches Login“ ermöglicht und so den kulturellen Erwartungsfehler ausnutzt: Viele Teams suchen primär nach Authentifizierungserfolgen und übersehen Versuche, deren Ziel genau das Testen von Gültigkeit ist, bevor ein realer Zugriff gelingt.
Bei der Absicherung geht es zudem um Compliance- und Datenschutzaspekte, nicht nur um Technik. Wenn Logdaten in SIEM/SOAR-Systemen landen, gilt es, personenbezogene Informationen nach dem Prinzip der Datenminimierung zu behandeln. Entra-Logs enthalten potenziell Mapping-Informationen zu Konten und Zugriffsmustern; die Auswertung sollte daher rollenbasiert eingeschränkt, verschlüsselt und mit klaren Retentionsregeln versehen werden. Für Unternehmen im EU-Umfeld ist das in vielen Fällen direkt mit DSGVO-Pflichten verknüpft, etwa wenn Protokolle länger gespeichert werden als für Sicherheitszwecke nötig. Eine saubere Auditierbarkeit hilft außerdem, die Ermittlungen zu beschleunigen, falls echte Kompromittierungen auftreten.
Mit Blick auf die Zukunft sollten Identity-Programme eine stärker „metadata-resiliente“ Logik entwickeln. Das kann bedeuten, dass Richtlinien und Detektionen nicht nur auf registrierte Anwendungen angewiesen sind, sondern auch auf robuste Heuristiken wie fehlende App-IDs, ungewöhnliche Fehlercluster und wiederholte Enumeration-Muster über kurze Zeitfenster. Außerdem wird es wichtiger, OAuth-Integrationen und App-Registrations regelmäßig zu härten: Least Privilege, regelmäßige Rotation von Secrets/Keys und ein konsequentes Entfernen nicht mehr genutzter Client-Registrierungen reduzieren die Angriffsoberfläche. Für Entwickler und Plattformteams heißt das: Über OAuth-Client-Validierung, Monitoring und Policy-Gating muss die gleiche Disziplin herrschen wie über die eigentlichen APIs.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Spoofed OAuth-Client-IDs: Gefahr für Microsoft Entra-Zugriff und Account-Enumeration" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Spoofed OAuth-Client-IDs: Gefahr für Microsoft Entra-Zugriff und Account-Enumeration" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Spoofed OAuth-Client-IDs: Gefahr für Microsoft Entra-Zugriff und Account-Enumeration« bei Google Deutschland suchen, bei Bing oder Google News!